EU:s Cyber Resilience Act (CRA) kräver att alla produkter med digitala element som säljs i EU uppfyller cybersäkerhetskraven senast december 2027. Viktiga skyldigheter inkluderar: underhåll av SBOM (Software Bills of Materials), rapportering av utnyttjade sårbarheter till ENISA inom 24 timmar (från september 2026) och bevarande av teknisk dokumentation i 10 år. Böter kan uppgå till 15 miljoner euro eller 2,5 % av den globala omsättningen. CRA Evidence hjälper tillverkare, importörer och distributörer att uppnå efterlevnad genom SBOM-hantering, sårbarhetsskanning och generering av tekniska filer.
EU:s Cyber Resilience Act (CRA)
EU-förordning 2024/2847 fastställer cybersäkerhetskrav för produkter med digitala element. Här är vad du behöver veta.
Vad är Cyber Resilience Act?
CRA kräver att företag dokumenterar sin programvaruleveranskedja, övervakar sårbarheter under hela en produkts livscykel och bibehåller tekniska filer i 10 år. Det är mycket pappersarbete.
Publicerad som förordning (EU) 2024/2847 täcker den hårdvaru- och mjukvaruprodukter som säljs i EU: IoT-enheter, industriella styrsystem, fristående programvara och mer.
Förordningen kräver Software Bills of Materials (SBOMs), processer för sårbarhethantering, riskbedömningar och teknisk dokumentation. För hårdvaruprodukter krävs även HBOMs. VEX-dokument kommunicerar sårbarhetsstatus till nedströmsanvändare.
Viktiga efterlevnadsfrister
11 september 2026
Sårbarheterapportering börjar
Tillverkare måste rapportera aktivt utnyttjade sårbarheter till ENISA och nationella myndigheter inom 24 timmar efter att de blivit medvetna. Detaljerade rapporter ska lämnas inom 72 timmar.
11 december 2027
Fullständig CRA-tillämpning
Alla produkter med digitala element måste uppfylla grundläggande cybersäkerhetskrav. Produkter som inte uppfyller kraven kan inte säljas på EU-marknaden.
Sanktioner vid bristande efterlevnad
CRA inför betydande ekonomiska sanktioner vid bristande efterlevnad. Marknadsövervakningsorgan kan också beordra produktåterkallelser och förbjuda försäljning på EU-marknaden.
Produktklassificering
CRA kategoriserar produkter baserat på deras cybersäkerhetsrisknivå. Produkter med högre risk möter striktare bedömning av överensstämmelse-krav.
| Kategori | Exempel | Bedömning av överensstämmelse |
|---|---|---|
| Standard | De flesta programvaruapplikationer, IoT-enheter, konsumentelektronik | Självbedömning tillåten |
| Viktig klass I | Identitetshantering, webbläsare, lösenordshanterare, VPN:er, nätverkshantering | Självbedömning om harmoniserade standarder används; annars tredjepartsbedömning |
| Viktig klass II | Hypervisorer, containerruntimes, brandväggar, intrångsdetektion, säkra element | Tredjepartsbedömning av överensstämmelse krävs |
| Kritisk | Hårdvarusäkerhetsmoduler, smartkortsläsare, säkra uppstartssystem | Strängaste krav (bilaga IV) |
Dokumentationskrav (bilaga VII)
Tillverkare måste sammanställa och underhålla teknisk dokumentation som visar efterlevnad av grundläggande krav. Denna dokumentation måste bevaras i minst 10 år efter att produkten har placerats på marknaden.
Riskbedömning
Cybersäkerhetsriskbedömning som täcker potentiella hot, sårbarheter och de åtgärder som vidtagits för att hantera dem.
EU-försäkran om överensstämmelse
En formell försäkran om att produkten uppfyller alla tillämpliga CRA-krav, undertecknad av en behörig representant.
Användardokumentation
Instruktioner för säker installation, drift och underhåll. Måste inkludera information om supportperioden och säkerhetsuppdateringar.
Policy för sårbarhetshantering
Dokumenterad process för att identifiera, spåra och åtgärda sårbarheter. Måste inkludera samordnade förfaranden för avslöjande.
Testrapporter
Bevis på säkerhetstestning, inklusive penetrationstester, kodgranskningar och verifiering av grundläggande krav.
ENISA-sårbarheterapportering
Från september 2026 måste tillverkare rapportera aktivt utnyttjade sårbarheter till ENISA (EU:s byrå för cybersäkerhet) och deras nationella CSIRT inom strikta tidsramar.
Underlåtenhet att rapportera inom de föreskrivna tidsramarna kan resultera i betydande sanktioner och skada på ryktet.
Inom 24 timmar
Tidig varning - Inledande meddelande om en aktivt utnyttjad sårbarhet eller allvarlig incident. Grundläggande information om hotet.
Inom 72 timmar
Detaljerad rapport - Tekniska detaljer, berörda produkter, allvarlighetsbedömning och initiala åtgärdssteg.
Inom 14 dagar
Slutrapport (Sårbarheter) - Fullständig analys, grundorsak, fullständig åtgärd och lärdomar.
Inom 1 månad
Slutrapport (Incidenter) - För allvarliga säkerhetsincidenter ska en slutrapport lämnas inom en månad.
CRA och EU:s maskindirektiv
Från januari 2027 kräver EU:s maskindirektiv (2023/1230) cybersäkerhetsbevis i din tekniska fil (bilaga III §1.1.9). Från december 2027 kräver CRA fullständig livscykelproduktssäkerhet. Båda förordningarna gäller för maskiner med PLC:er, HMI:er, inbyggda styrenheter eller nätverksanslutning.
CRA skäl 53 bekräftar att produkter som omfattas av maskindirektivet också måste efterleva CRA. CRA-efterlevnadsbevis kan tillgodose maskindirektivets cybersäkerhetskrav — om de är korrekt strukturerade.
Hur CRA Evidence hjälper
CRA gäller på olika sätt beroende på din roll i leveranskedjan. CRA Evidence anpassar sig till var och en.
CRA-skyldigheter varierar beroende på roll i leveranskedjan
Tillverkare
Artikel 13 lägger de tyngsta skyldigheterna på dig: SBOMs, sårbarhetshantering, säkerhetsuppdateringar, teknisk dokumentation.
- SBOM-validering (TR-03183)
- Sårbarhetsövervakning
- Export av teknisk fil
- Försäkran om överensstämmelse
Importörer
Artikel 19 gör dig ansvarig för att verifiera tillverkarens efterlevnad innan du säljer i EU.
- Verifieringschecklistor
- Tillverkarspårning
- Bevislagring
- Revisionsspår
Distributörer
Skyldigheterna i artikel 20 är lättare: verifiera CE-märkning och hantera produkter som inte uppfyller kraven på rätt sätt.
- Due diligence-checklistor
- Leverantörsspårning
- CE-verifiering
- Incidenteskalering
Börja förbereda nu
December 2027 är närmare än det ser ut. Gör dina produkter och dokumentation redo.